p PatchFirst

CVE-2026-105760

CVE-2026-105760 · vLLM: GLMGA video sampling permits request-driven CPU and memory exhaustion

Diese Seite enthält Fakten aus öffentlichen Sicherheitsquellen. Lesen Sie vor dem Aktualisieren die Originalmeldung.

vLLM is an inference and serving engine for large language models. Prior to 0.30.0, a caller can use the request-level media_io_kwargs field to select the GLMGA video backend and supply large values for the fps and max_frames options without a strict work ceiling. GLMGA constructs and deduplicates an attacker-sized pre-decode frame-index list, allowing a compact request and tiny valid video to consume disproportionate CPU time and memory in the shared media-loading executor. This issue is fixed in version 0.30.0.

CVSS 5.3 · Mittel · EPSS 0,3% · Öffentlicher Exploit · Korrektur verfügbar

Veröffentlicht
Aktualisiert

Technologie-Stack: python

Betroffene Produkte und Versionen

  • vllm

    Softwareversionen
    • >= 0.23.0rc2, < 0.30.0: Betroffen

    Keine Korrektur veröffentlicht

  • vllm PyPI

    Softwareversionen
    • 0.23.0
    • 0.24.0
    • 0.25.0
    • 0.25.1
    • 0.26.0
    • 0.27.0
    • 0.27.1
    • 0.28.0
    • 0.29.0
    Betroffene Versionsbereiche
    • ECOSYSTEM: ≥ 0.23.0rc2, < 0.30.0

    Auf 0.30.0 aktualisieren

Originalquellen

Prüfen Sie Ihren Server →